Информационная безопасность чему учат в вузе

07.07.202210.07.2022 admin 0 Comments

Как вузы учат будущих безопасников?

«Вообще, я окончил МИРЭА по информационной безопасности. Но от этого безопасником не стал. То, чему нас учили в институте, было насквозь неинтересно».

Под катом пост про то, как вузы меняют ситуацию и что из этого выходит.

Уже давненько в интервью чиновников и специалистов разной степени важности в контексте темы ИБ проскакивает тема о дефиците кадров в отрасли. Недоволен и замначальника Главного управления безопасности и защиты информации ЦБ Артем Сычев, и полномочный представитель президента в ПФО Михаил Бабич, который на встрече с секретарем Совбеза РФ Николаем Патрушевым, рассказывал о проблемах с кадрами в ИБ-сфере:

«В региональных органах исполнительной власти и органах местного самоуправления защиту информации обеспечивают 1672 специалиста, из них лишь 26% предусмотрены штатным расписанием, и только 6% имеют профильное образование. Кроме того, для большинства государственных информационных систем в 2014-2015 годах мероприятия по их созданию, модернизации и эксплуатации профинансированы немногим более чем на 50% от запланированных средств, а финансирование защиты информации проводится по остаточному принципу».

Получается, рынок испытывает серьёзный дефицит ИБ-специалистов, а не тех… Видимо дальше многие учебные заведения читать не стали. Действительно, а зачем? «Информационная безопасность» – это модно, поэтому достаточно открыть направление\кафедру и поток абитуриентов гарантирован. Результат предсказуем и описывается упомянутым выше господином Сычёвым. На рынок хлынул поток тех, «то из всей информационной безопасности знает только, что она есть».

Всё-таки надо было дочитать вузам фразу до конца, ведь полностью выглядит она так: рынок испытывает серьёзный дефицит ИБ-специалистов, именно специалистов, а не тех, кто попал в отрасль случайно. А это уже гораздо более серьёзная задача, предполагающая огромный пласт работы для учебных заведений! Есть ли у них вообще шанс на успех?

Кирилл Ермаков в интервью делился своим опытом:

«То, чему нас учили в институте, было насквозь неинтересно. Какой-то ISO, 152-ФЗ, PCI DSS, казалось бесполезной чушью. Только спустя много лет я понял, что все эти документы написаны кровью и взломами. В инсте дают базу, которая позволяет строить как-то enterprise security, понимать, как это все должно работать. Этому всему учат в институте, но не объясняют, зачем это нужно. Работая обычным пентестером-одиночкой или безопасником у себя в компании, ты тоже не понимаешь, зачем это все нужно. Образование пытается привить тебе системный подход, без объяснения, где и как ты его будешь применять».

Но такая ситуация не столько вина вуза, сколько результат обстоятельств. У образовательного учреждения, по сути, немного вариантов:

1. Учить своими силами. В таком случае, обучение происходит обычно на уровне теории, практика чаще всего недоступна студентам. Ведь всё упирается в инициативность преподавателя. Преподаватель бегает по конференциям\семинарам\выставкам. Преподаватель выходит на контакт с вендорами, договаривается о передаче софта, добывает материалы. Преподаватель выбивает лабораторию, придумывает, как всё поставить и т.д. Не слишком ли много «Преподавателя» в этой цепочке? Неоплачиваемым энтузиазмом семью не накормишь. Поэтому зачастую в вузах рассказывают «фундаментальное» (то, что преподаватель читает уже 10 лет и будет без изменений читать ещё 10): про основы криптографии, шифры и пр. Однако, если быть честным, мало кому нужен специалист-теоретик. Бизнесу требуются практики, готовые к реалиям и будням ИБ-службы.

2. Нанять практикующего «безопасника» какой-либо компании. Оставим в стороне вопрос, «за чей счёт этот банкет». Скорее всего не обошлось без альтруизма. Опытный специалист преподает студентам то, что знает сам. От такого обучения, разумеется, больше пользы для студентов, но есть и один минус – практикующий специалист вряд ли хорошо знаком с решениями, с которыми ему не приходится сталкиваться в работе. Кроме того, быть хорошим безопасником – не значит быть хорошим преподавателем. Далеко не каждый может связно и в доступной форме рассказать материал, заинтересовать студентов. Практикующий безопасник часто ограничен рамками собственного опыта, а для изучения чего-то нового не всегда есть время и желание.

3. Партнёрство с производителями. В идеале, партнёрство с различными вендорами должно давать как раз-таки полный спектр знаний по ИБ. Производитель продукта знает состояние отрасли, а также все нюансы применения своих решений. Да и про конкурентов рассказать может (степень объективности такого рассказа зависит от моральных принципов преподавателя). Однако не всякое решение на рынке имеет учебную базу. Стоит признать, что сотрудничество с вузами для компаний – скорее статья расходов. А вкладываться и нести расходы в этом направлении способен и хочет далеко не каждый производитель.

Чаще всего вендоры предлагают такую схему: бесплатно предоставляют свой продукт учебному заведению, может ещё дают документацию к нему, а дальше вуз, если захочет, самостоятельно решает, что и как рассказать студентам. Таким образом, основная нагрузка ложится на преподавателей, и только большие энтузиасты берутся за нее.

Подход, практикуемый в нашей компании я уже описывал. Секрет успеха прост – все узкие места, на которых может забуксовать вуз мы взяли на себя. Учебный центр разрабатывает программу, все материалы, лабораторные работы, готовит виртуальную машину, на которой будут проводиться практические занятия. Вуз не остается предоставлен самому себе – обучение на местах, а также вебинары, проводят специалисты компании. Но это не обычные специалисты. У нас, помимо знаний в ИБ, есть профильное педагогическое образование.

Позавчера, 5 июля, завершилась учебная практика для студентов ЛЭТИ. За пару месяцев до этого дня, мы совместно с профильной кафедрой вуза обсудили тему для практики, которую представили студентам на очных занятиях. Решили сфокусироваться на человеческом факторе в информационной безопасности. В рамках практического курса я затрагивал такие темы, как «Психология и угрозы информационной безопасности», «Человеческий фактор и его влияние на деятельность организации», «Техники социальной инженерии и способы защиты от социальной инженерии», «Практическое использование DLP-системы в разрезе человеческого фактора» и многое другое. Завершился курс тестированием навыков решения обозначенных задач с помощью DLP-систем (ну а куда ж без них).

По итогам практики я попросил Александра Кимовича Племянникова (заместитель заведующего кафедрой «Информационная безопасность») дать оценку этому проекту. Его ответ:

«Во-первых, хочу отметить сбалансированность занятий: лекционных, практических и контролирующих. Теория отрабатывается в практических занятиях и обязательно контролируется тестами. Во-вторых, студенты имеют доступ к обучающей платформе, где сосредоточены все необходимые учебно-методические материалы и задания для контроля знаний. В-третьих, учащиеся могут выполнять задания удаленно, с использованием личных технических средств.

Живое общение с профессионалами намного эффективнее прочтения интернет-публикаций. Мгновенная обратная связь, примеры из практики – это то, что ожидают обучаемые. Практические задания хорошо продуманы и максимально приближены к реалиям. Это мотивирует студентов к поиску правильных решений из соображений профпригодности, а не за оценку в зачетке.

Наша кафедра сотрудничает с SearchInform на протяжении трёх лет и в этой области мы не планируем менять партнера. Что же касается других областей, то поиск ведется, однако пока нет предложений от участников рынка со сравнимым качеством организации обучения. Тем не менее, мы готовы к диалогу».

Источник

🗝️ Как стать специалистом по информационной безопасности

Kamran Poladov Poladov

Что такое информационная безопасность?

Информационная безопасность (ИБ, англ. Information Security, сокр. InfoSec) – набор методов для защиты данных от несанкционированного доступа или изменений как при хранении, так и при передаче с одного компьютера на другой.

Обзор специальностей в сфере информационной безопасности

Обязанности специалиста по ИБ могут различаться, но роль можно свести к простой формуле: защищать данные компании от взлома. Рассмотрим списки популярных специальностей в сфере ИБ.

Технические специальности ИБ

Менеджерские специальности ИБ

Навыки для работы

Технический бэкграунд специалиста по информационной безопасности

Для начала надо освоить основы Computer Science.

Программирование, языки разметки, кодирование

Операционные системы и управление базами данных

Нетехнический бэкграунд

Люди с опытом в управлении проектами, техническом письме, праве или функциях физической безопасности, могут получить квалификацию для работы в области кибербезопасности, отточив некоторые навыки и получив необходимые сертификаты. Однако п ервоначально нужно получить фундаментальные знания в области ИТ.

Подборка ресурсов для самостоятельного изучения

Книги

Сертификаты

Поиск по HeadHunter показывает, что на рынке есть около 90 открытых вакансий, которые требуют или предпочитают кандидатов, имеющих сертификат CISSP. Заработная плата в среднем составляет 190 000 руб.

Oнлайн-платформы

Блоги

Карьерные перспективы

Аналитические прогнозы показывают, что с 2018 по 2028 гг. спрос на работников информационной безопасности вырастет на 32% (для доступа к отчету может потребоваться VPN). Особенно высоким будет спрос на аналитиков по информационной безопасности, поскольку такие аналитики будут необходимы для создания инновационных решений, предотвращающих кражу информации и другие проблемы компьютерных сетей.

По данным SecurityLab.ru, средние зарплаты (в тыс. руб. в Москве, в других регионах на 20-30% ниже) в ИБ следующие:

Заключение

Информационная безопасность – одна из самых востребованных отраслей ИТ, в будущем она будет становиться еще более популярной. Изучив основы ИТ и безопасности, вы сможете получить первую работу в ИБ менее чем за год.

Охвачены такие темы, как безопасность веб-приложений, сетевая безопасность, реверс-инжиниринг, анализ вредоносных программ, криптография, и практические знания Python. Все затронутые темы сопровождаются практическими заданиями. В конце курса помогут подготовиться к собеседованию и найти работу.

Источник

Специалист по информационной безопасности. Что делает и сколько зарабатывает

Специалист по информационной безопасности — не самая простая, зато востребованная ИТ-профессия. Она пугает множеством терминов и своеобразных инструментов, хотя на деле доступна людям без технического бэкграунда. Изучив ИБ, вы будете работать с государственными корпорациями, банками, средним и крупным бизнесом, облачными сервисами и стартапами. Проще говоря, везде, где есть вероятность взлома.

В этой статье подробно рассказываем, кто такой специалист по информационной безопасности, чем он занимается, сколько зарабатывает и как им стать. Бонусом — подборка книг для знакомства с профессией.

Разобрался, чем занимается специалист по ИБ, что должен знать и где может работать

Кто такой специалист по ИБ сейчас

Обычно под специалистом по информационной безопасности подразумевают человека, который может внедрить и поддерживать защиту от несанкционированного доступа. Настроить сеть, предусмотреть ошибки и потенциальные баги, развернуть и запустить технологии мониторинга подключений.

Но есть и более узкие специальности уже внутри сферы:

Есть ещё один вариант деления специалистов:

Такое деление — условное. Например, в небольшом бизнесе по разработке мобильных приложений специалист по ИБ будет заниматься всем циклом, начиная от разработки и заканчивая внедрением. А в крупной облачной корпорации вы можете работать только с Kubernetes, не трогая больше ничего.

Важно. Специалист по информационной безопасности сейчас — это тот, кто внедряет систему защиты в компанию и поддерживает её от попыток проникнуть извне.

Из-за неустоявшихся терминов есть небольшая путаница и в названиях вакансий — компании ищут специалистов по информационной безопасности, администраторов защиты, инженеров безопасности компьютерных сетей и другие названия, подразумевая одного и того же специалиста.

Чем занимаются специалисты по информационной безопасности

Главные задачи специалиста по ИБ — настраивать инструменты для защиты и мониторинга, писать скрипты для автоматизации процессов, время от времени проводить пентесты, чувствуя себя хакером. Следить за общими показателями системы и администрировать средства защиты информации.

Вот типичные задачи специалиста по ИБ:

Плюс сферы ИБ — вы можете проработать несколько лет, но так и не столкнуться с чем-то неизвестным и непонятным. Конечно, точной статистики нет, но обычно все уязвимости и способы взлома известны.

Условно, порядка 80–90% времени работы занимает защита от уже известных способов взлома. Ещё 10% — это что-то новое, что ещё не прописали в методичках и документации.

Специалист по ИБ — это не всегда творческая профессия. Обычно наоборот, не нужно ничего выдумывать и изобретать велосипед. Специалист берет готовый чеклист или инструкцию, а затем внедряет систему защиты. Тестирует её, находит баги, исправляет их. И затем новая итерация.

Как стать специалистом по ИБ

Путь в профессию специалиста по информационной безопасности похож на стандартный для ИТ — сначала курсы или самообучение, затем стажировка и перевод на полноценную работу.

Судя по отзывам инженеров на профессиональных площадках, для старта в профессии достаточно 9–12 месяцев, из которых полгода занимает обучение на курсах.

Нужен ли технический бэкграунд

Опыт работы в ИТ и программировании не нужен — это особая профессия на стыке системного администрирования, разработки и консалтинга. Конечно, если вы начинающий разработчик или инженер, будет проще — разбираться в общих принципах процессов в ИТ не придётся. Но ненамного, потому что в любом случае в ИБ есть масса своих тонкостей и технологий.

Идеальный план обучения в сфере ИБ — минимум теории и максимум практики. Просто изучить список популярных уязвимостей бесполезно, нужно попробовать внедрить защиту от них в рабочий продукт и столкнуться с ограничениями системы.

Нужен ли английский язык

На старте хорошее знание языка необязательно — достаточно понимать необходимый минимум, чтобы не потеряться в интерфейсе программы и читать документацию с Google-переводчиком.

Но затем в языке стоит потренироваться. Качественная литература, журналы, блоги и форумы по информационной безопасности в основном зарубежные, хорошие переводы на русский появляются не сразу. Чтобы быть постоянно «в теме», придется обращаться к первоисточникам.

Выбирая курсы обучения по ИБ, обратите внимание, включены ли в них занятия по техническому английскому языку. На таких занятиях вы не будете тратить время на отработку посторонних тем вроде отпуска, кулинарии или чего-то ещё, не имеющего отношения к ИТ. Вместо этого познакомитесь со специальной лексикой, которую используют в тестировании, разработке и чтении документации.

Что нужно знать для старта работы

Проблема многих курсов, которые готовят специалистов по информационной безопасности — акцент на одном из направлений сферы:

Если вы планируете строить карьеру в сфере информационной безопасности, стоит поискать курсы, на которых учат полноценному внедрению системы защиты. Плюс учат использовать уязвимости для пентестов. И обязательно рассказывают о том, как всё это делать законно — нужно разобраться в нормативной базе и особенностях законодательства.

То есть и законам, и настройкам сети, и хакингу, и защите от взломов.

Стек навыков

Вот примерный список того, что нужно знать и уметь для старта:

Источник

Чему учат на факультете информационной безопасности GU

Кем вы сможете работать по окончании факультета информационной безопасности и где набрать опыт? Есть ли смысл учиться на безопасника, если вы живете в маленьком городе? Обо всем этом расскажет Сергей Кручинин — руководитель образовательных проектов GeekBrains. Этот человек руководит работой деканов всех 8 факультетов GeekUniversity и согласует учебные планы.

— Сергей, начнем с главного. Специалист по информационной безопасности — это широкое понятие. Чему конкретно вы учите?

— Прежде всего хочу сказать, что программа факультета разработана практикующими специалистами. Особая благодарность Никите Ступину — специалисту по информационной безопасности Mail.Ru и декану нашего факультета. Мы будем делиться со студентами лучшими практиками безопасности, которые уже используются в Mail.Ru Group.

Чтоб никто не запутался, надо понимать, что в сфере информационной безопасности (ИБ) есть «бумажная» и практическая работа. «Бумажные» специалисты следят, отвечает ли система безопасности — по документам — требованиям закона. На деле в ней может быть полно дыр, которые никто не ищет и не устраняет, но в документации — все по стандарту.

Не надо так

Мы делаем упор не на «бумажную», а на практическую безопасность веб-приложений, сетей, оборудования и данных. Наши студенты изучат методы и технологии взлома, инструменты хакеров, работу систем, которые предстоит защищать. Все эти знания необходимы для поиска и закрытия уязвимостей.

С «бумажной» стороной ИБ наши студенты тоже кратко познакомятся: научатся составлять регламенты и инструкции для сотрудников предприятия. Стандарты и документация ни в коем случае не бесполезны, но нельзя подменять ими реальную защиту.

— Почему в GeekUniversity выбрали именно такой путь?

— Практическая безопасность важнее. Сильному бизнесу интересен прежде всего результат. Я бы советовал начинать с практики еще и потому, что она скорее приведет вас в молодую и прогрессивную IT-команду.

На «бумажные» вакансии чаще идут люди 40–50 лет с особым типом мышления, вузовским образованием и опытом работы в госучреждениях. Они смотрят на вещи формально. Во время аудита они задают вопросы типа «Есть ли у вас система обнаружения вторжений?». Или, чтобы что-то проверить, просят у клиента пароль от root-а. Наш выпускник без пароля посмотрит на среднестатистической машине, что ему нужно, и сам поменяет пароль, если потребуется.

В GeekUnivestity мы готовим специалистов, которые будут востребованы в Mail.Ru Group и аналогичных компаниях — смогут участвовать в обеспечении безопасности крупного почтового сервиса, например.

— Кстати, специалистов по каким направлениям безопасности берут в компанию Mail.Ru Group?

— Среди приоритетов — продуктовая безопасность (Application Security), есть даже открытая вакансия. Специалисты в этой области умеют находить уязвимости веб-сервисов, нейтрализовывать инъекции SQL, OS Command injection и другое. Также востребованы специалисты по инфраструктурной безопасности. Их компетенции: защита на уровне сети (L3, L4, TCP/IP, фаерволы), безопасность операционных систем (контроль за обновлением пакетов и ядра), парольные политики, сканирование периметра — перечислять можно долго.

— Для тех, кто только знакомится с терминологией, — что такое инъекции в веб-сервисах?

— Это когда вместо ожидаемых приложением данных, таких как идентификатор сообщения, злоумышленник вбивает нужную ему команду, а скрипт ее выполняет. Мошенник получает доступ к конфиденциальным данным или даже к машине, на которой найдена уязвимость.

— Какие еще угрозы вы учите находить?

— Бинарные, криптографические. Видов уязвимостей много. Одной только веб-безопасности посвящены первые две четверти учебного года. Это очень важное направление, потому что бизнес из оффлайна переходит в онлайн, а пользовательские данные идут в веб и в облака. Еще 10 лет назад такси заказывали только по телефону. Теперь — в основном через сервисы типа Uber и Яндекс.Такси. И главный вопрос — насколько защищен веб-сервис, которому ты доверяешь свои данные.

Если разработчики сайта не позаботились о безопасности, более-менее продвинутый пользователь может прочитать чужие сообщения, посмотреть фотографии и так далее. Есть набор веб-уязвимостей, рассчитанных на беспечность программиста. Мы объясняем студентам, как злоумышленники находят и эксплуатируют такие уязвимости, к чему это может привести и как это предотвратить.

Знать такие вещи полезно и веб-разработчикам, и руководителям проектов, и всем, кто хочет защищать конфиденциальные данные посетителей своего сайта. Либо нужно привлекать специалиста-практика, который проведет аудит. Выявить угрозы — это меньше чем полдела. Нужно еще придумать, как их устранить, а потом проследить, чтобы защита работала.

Офис GeekBrains: работаем допоздна, лишь бы студенты получили знания

Кроме веб-безопасности наши студенты подробно изучают сетевую безопасность. Эти направления частично связаны, потому что есть угрозы, которые затрагивают не только серверную, но и клиентскую часть сервиса.

Например, некоторые сайты, в том числе крупных организаций, не шифруют трафик. Это позволяет перенаправлять его на подставные машины и перехватывать все, что пользователи хотели отправить на сервер.

— А если человек живет в маленьком городе, где нет передовых IT-компаний? Вот он выучился на безопасника-практика. Кем ему работать?

— Стек технологий, который мы преподаем, завязан и на системное администрирование, и на другие смежные с ИБ области. Если человек старательно учится, у нас он станет специалистом широкого профиля. Сейчас объясню подробнее.

Хороший безопасник должен уметь админить. Если вы посмотрите на резюме специалистов по информационной безопасности, у многих в карьере был этап сисадминства.

Наши студенты плотно изучают Linux. Кто раньше не работал с этой операционной системой, прежде всего научится ставить ее на виртуальной машине. Дальше студенты осваивают работу в терминале, установку программного обеспечения и решение базовых задач.

Еще мы учим работе с сервисами: как поднять сервер Nginx или Apache, базу СУБД, настроить DNS-сервер BIND и почту. Нужно только помнить, что знания не приходят автоматически после оплаты обучения — придется прикладывать усилия.

— Строить и настраивать сети — тоже учите?

— Да. Сетевой инженер — еще одна профессия, с которой перекликается работа безопасника. Надо уметь как минимум настраивать сетевые фильтры, закрывать порты, отслеживать активные соединения.

При изучении компьютерных сетей студенты отработают практические навыки на тренажере Cisco Packet Tracer. Мы его выбрали ради наглядности, но умение работать с оборудованием Cisco — еще и бонус к резюме.

Краеугольная тема сетевой безопасности — TCP/IP. Это модель передачи данных по сети. С разными ее реализациями админы и безопасники работают постоянно. Мы рассказываем, что такое протоколы канального и сетевого уровня, как они работают, зачем нужен MAC-адрес. Мало кто в этом разбирается, хотя именно на канальном уровне выстроены многие типы атак.

Изучаем сетевые технологии

Дальше мы объясняем, как устроен интернет, как работает провайдерская сеть и как настроить сеть предприятия — тоже на примере оборудования Cisco.

— Вернемся к ситуации «выпускник не хочет переезжать из маленького города». Где работать?

— Начнем с того, что везде есть провайдеры. Нашего выпускника они с удовольствием возьмут сетевым инженером. Причем это будет сетевой инженер с очень хорошим пониманием безопасности. В карьерном плане у него будет преимущество перед людьми, которые раньше только прокладывали сети: обжимали витую пару и бегали с ней по чердакам. Нашему инженеру-безопаснику будет проще дорасти до руководителя. У провайдеров есть сайты и какие-то сервисы — здесь тоже можно себя проявить.

Следующий момент — везде нужны сисадмины. Если в компании нет отдельного специалиста по информационной безопасности, его обязанности выполняет системный администратор. И снова — наш выпускник получает преимущество перед админами, которые изучали безопасность сами и поверхностно.

От себя лично добавлю, что если у вас есть возможность переехать в Москву или Санкт-Петербург и поработать в крупной местной или международной компании, оно того стоит. У нас есть студенты, которым это уже удалось.

— А как насчет работы с приложениями? Ведь безопасник должен еще и софт держать под контролем.

— Да, мы учим дизассемблированию и анализу приложений, чтобы студенты могли выявлять вредоносный код.

Нужно понимать, что злоумышленники и те, кто с ними борются, используют одни и те же инструменты. «Черные» (плохие) хакеры анализируют программное обеспечение и ищут уязвимости, которыми можно воспользоваться. «Белый» (этичный) хакер ищет ошибки, чтобы закрыть дыры в безопасности.

Мы учим исследовать код. Если программист был неосторожен, при определенных условиях программа может выдать конфиденциальные данные. Например, отправить пользователю кусок оперативной памяти, где хранятся пароли, закрытые ключи и другие интересные вещи.

Мы также учим программировать на языке Python. С ним удобно автоматизировать задачи или писать свои инструменты анализа данных. Эти навыки выводят безопасника на более высокий профессиональный уровень.

Еще у нас есть курс «Операционные системы». Он рассказывает об архитектуре ОС, о том, как отличаются угрозы безопасности в Linux, DOS, Windows, и другое.

Мы объясняем, что такое пространство ядра и пространство пользователя, как работает память, почему одно приложение в современных операционных системах не может изменить данные другого приложения. Чем процесс отличается от потока.

Ближе к концу курса — в четвертой четверти — студенты знакомятся с темой бинарных уязвимостей.

— Ты упомянул, что составлению регламентов и работе с документами студенты тоже учатся.

Есть и еще один важный момент. Мы учим основам социальной инженерии. Потому что злоумышленник никогда без нужды не идет сложным путем. Прежде чем что-то ломать, он пробует выманить пароль или другую нужную информацию у пользователя. Мы рассказываем, как учесть подобные схемы при составлении инструкций для сотрудников компании.

— То есть вы готовите «универсального солдата» безопасности?

— Мы готовим человека, который умеет взламывать и защищать. Необходимо понимать методы взлома, чтобы грамотно выстроить информационную систему.

Хороший безопасник обладает теми же навыками, что и злоумышленник. Но применяет их не в корыстных и/или преступных целях, а чтобы защитить систему и, в конечном итоге, — пользователей.

Взломать можно что угодно — это вопрос времени и ресурсов. Но обход хорошо выстроенной защиты может нападающего попросту разорить.

— Как расставлены приоритеты между изучаемыми направлениями?

— Главный упор на веб-безопасность. К ней примыкают сетевая инженерия и системное администрирование. По остальным направлением мы даем базовые знания, которые можно развивать в зависимости от интересов учащегося.

— Где студенту-безопаснику набирать практический опыт? Какие достижения он по итогам учебы сможет записать себе в резюме? И как прокачаться самому?

— Угрозы можно моделировать. Для этого есть специальные инструменты. Начинать лучше с простых вещей: берем и ставим на сайт «глючное веб-приложение» — bWAPP (buggy web application). Оно изначально создано небезопасным, чтобы на нем «этичные хакеры» тренировались находить и блокировать уязвимости.

Еще есть DVL — специальный Linux-дистрибутив с преднамеренными ошибками настройки.

Такие инструменты очень полезны, но они могут студентам быстро надоесть, поэтому мы заготовили более интересные испытания. Например, состязания типа Capture the flag. Вы получаете доступ к удаленной машине, но заранее не знаете ее уязвимостей и должны их найти. Победы в таких конкурсах и соревнованиях на рынке ценятся — их можно смело записывать в резюме. Взломать серьезный тренажер не легче, чем реальный сайт.

Также стоит участвовать в конкурсах типа Bug Bounty. Это когда организация предлагает вознаграждение тем, кто найдет уязвимости в продукте. Мы расскажем, как участвовать в подобных программах. Если у вас прокаченный аккаунт на hackerone, вам будут рады в крупных компаниях, в том числе зарубежных.

Еще наш студент может предлагать владельцам сайтов услуги аудита: находить и закрывать уязвимости. Главное — договориться с хозяином сайта заранее, потому что грань между «черным» и «белым» хакерством очень тонка и за непрошеную помощь можно попасть под статью.

— Есть ли смысл предлагать аудит безопасности тем, кто о ней не беспокоится? Бывает, уязвимость видна даже неспециалисту, но ее никто не устраняет.

— Пробовать стоит. Некоторым действительно бесполезно писать, но есть и те, кто не задумывался о проблеме. Я одному владельцу сайта объяснил, что он использует HTTP, а пора бы уже на HTTPS перейти, потому что иначе пароли пользователей передаются по незащищенному каналу связи. И человек прислушался. Если сайт приносит доход, владелец заинтересован в его развитии и, скорее всего, пойдет на диалог.

— Вот человек победил в конкурсе, провел кому-то аудит, но еще не работал в штате. При поиске работы это проблема?

— Нет. Наш выпускник целый год провел с GeekBrains и Mail.Ru Group. Он уже представляет себе работу безопасника в крупной компании, знает весь стек технологий и собрал стартовое портфолио. С точки зрения среднестатистического работодателя это немало.

— Будет чем блеснуть на собеседовании.

— Само собой. Не исключено, что выпускник будет разбираться в каких-то вопросах лучше будущего руководителя.

— Сергей, спасибо огромное! Теперь у меня целостная картина, чему и зачем учат на факультете информационной безопасности. Если у читателей остались вопросы — надеюсь, они их зададут в комментариях. А мы с тобой еще найдем время так же подробно поговорить о другом факультете — искусственного интеллекта.

— О новом факультете и о направлении Data Science действительно многое можно рассказать. Так что до следующего раза.

Освоить востребованную профессию в Data Science можно всего за полтора года на курсах GeekBrains. После учёбы вы сможете работать по специальностям Data Scientist, Data Analyst, Machine Learning, Engineer Computer Vision-специалист или NLP-специалист.